Fully Automated End-to-End Adversary Emulation from MITRE ATT\&CK Based Cyber Threat Intelligence Using LLMs
Questo articolo introduce un framework end-to-end completamente automatizzato che sfrutta i LLM per generare, eseguire e revisionare iterativamente playbook di Caldera a partire da report di CTI allineati a MITRE ATT&CK, superando significativamente i precedenti sistemi allo stato dell'arte come AURORA grazie al raggiungimento di elevati tassi di successo nell'esecuzione attraverso un efficace meccanismo di recupero dai guasti.
Articolo originale sotto licenza CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). Questa è una spiegazione generata dall'IA dell'articolo qui sotto. Non è stata scritta né approvata dagli autori. Per precisione tecnica, consulta l'articolo originale. Leggi il disclaimer completo
Immagina il mondo digitale come una città gigante e frenetica dove i cattivi cercano costantemente di svaligiare banche, rubare segreti o causare il caos. Per mantenere sicura questa città, le guardie giurate (i difensori cibernetici) devono sapere esattamente come pensano e agiscono questi cattivi. Ma ecco il problema: i cattivi stanno diventando sempre più intelligenti, veloci e creativi ogni giorno. Per restare in vantaggio, i difensori devono praticare la lotta contro questi attacchi specifici e reali. Questo è chiamato "emulazione dell'avversario". È come una prova antincendio, ma invece di fumo e manichette, si usano simulazioni digitali per vedere se i loro sistemi di sicurezza riescono a individuare e fermare un hacker.
Il problema è che organizzare queste "prove antincendio" è incredibilmente difficile. Di solito, un esperto umano deve leggere un rapporto lungo e complicato su un recente attacco informatico, capire esattamente cosa ha fatto l'hacker e poi scrivere manualmente uno script per far fare la stessa cosa al proprio computer. È come cercare di costruire un complesso castello di Lego leggendo un manuale scritto in una lingua straniera, e poi costruirlo mattone dopo mattone con gli occhi chiusi. Ci vuole una vita, costa un sacco di soldi e, se fai un piccolo errore, tutto il castello crolla. Questo articolo pone una grande domanda: possiamo insegnare a un computer super intelligente (un'IA) a leggere questi rapporti, costruire il castello di Lego per noi e persino ripararlo se cade, il tutto senza che noi dobbiamo muovere un dito?
I ricercatori in questo articolo dicono: "Sì, possiamo!". Hanno costruito un sistema robotico completamente automatizzato che agisce come un maestro costruttore digitale. Ecco come funziona: per prima cosa, il sistema legge un vero rapporto su una minaccia informatica (che è come una storia su un colpo orchestrato da un hacker). Poi, utilizza un potente cervello IA per tradurre quella storia in un insieme di istruzioni chiamato "playbook". Pensa a questo playbook come a una ricetta per un attacco informatico. Il sistema poi cucina questa ricetta in una cucina sperimentale (una rete di computer sicura e isolata) per vedere se funziona.
Ma ecco la parte magica: in passato, se la ricetta falliva perché il forno era troppo caldo o gli ingredienti mancavano, l'umano doveva intervenire, capire cosa fosse andato storto e riscrivere la ricetta. Questo nuovo sistema non aspetta un essere umano. Se l'attacco fallisce, il sistema analizza istantaneamente l'errore, ipotizza cosa sia andato storto (come "Ops, ho usato la password sbagliata" o "Il percorso del file è mancante") e prova a correggere la ricetta da solo. Continua a provare e a perfezionare le istruzioni finché l'attacco non procede senza intoppi.
Il team ha testato questo sistema su 11 diverse storie di attacchi reali. Hanno scoperto che il sistema era sorprendentemente bravo nel suo lavoro. Utilizzando il miglior modello di IA che hanno provato (chiamato Claude Sonnet 4.5), il sistema è riuscito a costruire ed eseguire le ricette degli attacchi circa l'84% delle volte dopo aver corretto i propri errori. Prima che il sistema iniziasse a correggere le cose, aveva successo solo il 70% delle volte. Ciò significa che la funzione di "auto-riparazione" è stata un enorme aiuto, aumentando il tasso di successo di circa 15 punti percentuali.
I ricercatori hanno anche confrontato il loro robot costruttore con l'attuale sistema guidato dall'uomo più avanzato (chiamato AURORA). Il loro robot non era solo completamente automatico, ma è riuscito anche a creare piani di attacco più dettagliati e ha avuto successo più spesso del precedente campione. Il sistema ha impiegato meno di 200 secondi e solo circa 35 centesimi di potenza di calcolo per creare e correggere un playbook per ogni rapporto. Al contrario, gli esseri umani potrebbero impiegare mesi per fare lo stesso lavoro manualmente.
L'articolo suggerisce che questo approccio è un grande passo avanti perché elimina la necessità che gli esseri umani debbano controllare costantemente il processo. Tuttavia, i ricercatori avvertono con cautela che, sebbene il sistema sia impressionante, non è perfetto. A volte, l'ambiente è semplicemente troppo diverso da quello che l'IA si aspettava e il robot non riesce a risolvere il problema, non importa quanto ci provi. Ma per la stragrande maggioranza dei casi, questo robot "auto-guaritore" dimostra che possiamo automatizzare l'intero processo di apprendimento dagli attacchi passati e di test delle nostre difese contro di essi, rendendo le nostre città digitali molto più sicure e i nostri team di sicurezza molto più efficienti.
Sommerso dagli articoli nel tuo campo?
Ricevi digest giornalieri degli articoli più recenti corrispondenti alle tue parole chiave di ricerca — con riassunti tecnici, nella tua lingua.